CVE-2023-36665
Təsvir
protobuf.js (həmçinin protobufjs) 6.10.0 versiyasından 7.x-dək olan və 7.2.5 versiyasından əvvəlki versiyaları, CVE-2022-25878-dən fərqli bir zəiflik olan Prototype Pollution-a yol açır. Hücumçu istifadəçi tərəfindən idarə olunan protobuf mesajından istifadə edərək Object.prototype-un məlumatlarını və funksiyalarını əlavə etmək və ya yeniləməklə onun prototipini çirkləndirə bilər. İstismar aşağıdakıları əhatə edə bilər: (1) protobuf mesajlarını anlıq olaraq analiz etmək üçün parse funksiyasının istifadəsi, (2) load/loadSync funksiyalarından istifadə edərək .proto fayllarının yüklənməsi və ya (3) ReflectionObject.setParsedOption və util.setProperty funksiyalarına etibarsız giriş məlumatlarının təqdim edilməsi.
Necə düzəltmək olar
- protobufjs_project protobufjs7.2.5 və ya daha yeni versiya
- protobufjs7.2.5, 6.11.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| protobufjs_project protobufjs | 6.10.0 ≤ v < 7.2.5 | 7.2.5 |
| protobufjsnpm | 7.0.0 ≤ v < 7.2.5, 6.10.0 ≤ v < 6.11.4 | 7.2.5, 6.11.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.